Zoom i ogólne rozporządzenie Unii Europejskiej o ochronie danych osobowych (RODO)

Ostatnia aktualizacja: 18 sierpnia 2023 r.

Misją firmy Zoom jest dostarczanie radości poprzez bezproblemową komunikację wideo. Rozumiemy, że taka radość wymaga zapewnienia prywatności i bezpieczeństwa. Dlatego dążymy do możliwie najlepszej ochrony i zabezpieczania komunikacji naszych klientów, np. zgodnie z wymaganiami dotyczącymi prywatności danych stosowanymi w Europejskim Obszarze Gospodarczym („EOG”) – głównie z ogólnym rozporządzeniem o ochronie danych osobowych („RODO”).

Firma Zoom popiera dyrektywę RODO jako możliwość tworzenia silniejszych fundamentów ochrony danych, z korzyścią dla wszystkich ludzi. Firma Zoom rozumie, że nasi klienci (administratorzy danych) muszą upewniać się, że firma Zoom (podmiot przetwarzający dane) wdraża środki techniczne i organizacyjne w sposób zgodny z wymogami RODO. Firma Zoom chętnie będzie pomagać i wspierać naszych klientów w roli administratorów danych.

Poniższe kluczowe fakty odzwierciedlają zaangażowanie firmy Zoom w praktyki ochrony danych osobowych.

Umowne zobowiązania RODO dla wszystkich klientów Zoom

Rozporządzenie RODO wymaga, aby administratorzy danych (np. organizacje i deweloperzy korzystający z usług Zoom) korzystali tylko z podmiotów przetwarzających dane (takich jak Zoom), które przetwarzają dane osobowe w imieniu administratora danych i zapewniają odpowiednie gwarancje spełnienia konkretnych wymagań RODO. Firma Zoom oferuje te zobowiązania wszystkim swoim klientom poprzez włączenie załącznika dotyczącego przetwarzania danych osobowych przez firmę Zoom do Warunków świadczenia usług Zoom.

Umowne zobowiązania Zoom dotyczące rozporządzenia RODO:

Firma Zoom dąży do transparentności i chce wykorzystywać dane osobowe tylko w taki sposób, jaki został określony w naszej umowie o świadczenie usług lub w sposób inaczej określony przez naszych klientów.
Firma Zoom utrzymuje odpowiednie techniczne i organizacyjne środki bezpieczeństwa, aby chronić przetwarzane dane osobowe.
Firma Zoom wspiera klientów w spełnianiu ich obowiązków, gdy osoby, których dane dotyczą, korzystają ze swoich praw powiązanych z danymi osobowymi przetwarzanymi przy użyciu naszych usług (np. praw związanych z uzyskiwaniem informacji, dostępem, poprawianiem i usuwaniem danych).

Obsługa międzynarodowych transferów danych

W lipcu 2020 r. Trybunał Sprawiedliwości Unii Europejskiej („TSUE”) wydał wyrok C-311/18 (potocznie zwany decyzją “Schrems II”) dotyczący prawidłowości transferów danych poza EOG. Decyzja Schrems II wynikała ze skargi złożonej przez Austriaka, Maximilliana Schremsa, czyli osobę, której dane dotyczą. Skarga dotyczyła przekazywania jego danych osobowych do Stanów Zjednoczonych oraz możliwości uzyskania dostępu do jego danych przez agencje rządowe USA.

W decyzji Schrems II TSUE orzekł, że program Tarcza Prywatności UE – USA nie zapewnia już zgodnych z prawem środków transferu danych osobowych z EOG do Stanów Zjednoczonych.

Co ważne, TSUE orzekł również, że standardowe klauzule umowne Komisji Europejskiej („SCC”) – które stanowią podstawę międzynarodowego przekazywania danych przez Zoom – pozostają zgodnym z prawem mechanizmem przekazywania danych osobowych z terenu EOG do krajów poza regionem EOG.

Po wydaniu decyzji Komisja Europejska opublikowała nowe klauzule SCC w czerwcu 2021 r. Firma Zoom wdrożyła nowe SCC do stosownych umów po okresach przejściowych określonych przez Komisję Europejską (np. do 27 września 2021 r. w przypadku nowych umów oraz do 27 grudnia 2022 r. w przypadku istniejących umów). Pozostałe informacje zawarto w sekcji często zadawanych pytań klientów dotyczących nowych klauzul SCC.

Nowe wymaganie: „poznaj transfer”

Decyzja Schrems II wprowadziła również nowe wymaganie. Przed przekazaniem danych osobowych do kraju spoza regionu EOG, który nie jest uważany za zapewniający odpowiedni poziom ochrony, podmioty eksportujące dane muszą ocenić, czy klauzule SCC odpowiednio zapewniają, że dane osobowe pozostaną chronione w kraju odbiorcy w stopniu „zasadniczo równoważnym” z zasadami ochrony danych w UE.

Innymi słowy, przed wykorzystaniem klauzul SCC eksporter i importer danych muszą teraz ocenić, czy przepisy i praktyki w kraju odbierającym dane mogą zmniejszyć poziom ochrony, który byłby zapewniony w innym przypadku. Aby wesprzeć naszych klientów w tej ocenie, przygotowaliśmy oceny wpływu przekazania danych dla następujących produktów:
Ocena wpływu przekazania danych dla Zoom Meetings/Webinar/Chat
Ocena wpływu przekazania danych dla Zoom Phone
Ocena wpływu przekazania danych dla Zoom Contact Center
Ocena wpływu przekazania danych dla Wirtualnego Agenta Zoom

Silne konkretne środki zapewniające europejski poziom ochrony danych osobowych

Firma Zoom jest zaangażowana w zapewnianie wysokiego poziomu bezpieczeństwa:

Firma Zoom wykorzystuje szereg technologii szyfrowania, aby chronić dane osobowe podczas transferu i przechowywania.
Firma Zoom wykorzystuje środki bezpieczeństwa wspierające ciągłą poufność, spójność, dostępność i odporność naszych systemów i usług związanych z przetwarzaniem danych.
Firma Zoom podejmuje środki ułatwiające szybkie przywrócenie dostępności i dostępu do naszych systemów i usług przetwarzania w przypadku incydentu fizycznego lub technicznego.
Firma Zoom wdraża proces regularnego testowania, oceniania i ewaluacji efektywności technicznych i organizacyjnych środków ochronnych, aby wspierać bezpieczeństwo przetwarzanych danych.

W szczególności środki bezpieczeństwa wykorzystywane przez firmę Zoom w celu zabezpieczania komunikacji wysyłane i przechowywanej na platformie Zoom obejmują:

Opcjonalne szyfrowanie end-to-end dla spotkań: użytkownicy mogą włączyć szyfrowanie end-to-end w przypadku spotkań Zoom Meetings. W ten sposób zapewnia się wysoki poziom bezpieczeństwa. żadna strona trzecia – w tym firma Zoom – nie może uzyskać dostępu do prywatnych kluczy spotkań.
Szyfrowanie domyślne:połączenie pomiędzy danym urządzeniem i serwerami Zoom jest domyślnie szyfrowane przy użyciu kombinacji protokołu TLS 1.2+ (Transport Layer Security), standardu szyfrowania zaawansowanego 256-bit AES GCM oraz protokołu SRTP (Secure Real-time Transport Protocol). Precyzyjne metody zależą od tego, czy użytkownik korzysta z klienta stacjonarnego Zoom, przeglądarki internetowej, urządzenia lub usługi zewnętrznej, czy też produktu Zoom Phone. Aby uzyskać więcej informacji, przeczytaj oficjalny dokument dotyczący szyfrowania.
Ochrona przed dostępem nieautoryzowanych użytkowników do spotkania: firma Zoom wdrożyła wiele zabezpieczeń i elementów kontrolnych, aby uniemożliwiać nieautoryzowanym użytkownikom dołączanie do spotkań:

- Unikatowe identyfikatory spotkań o długości 11 znaków
- Złożone hasła
- Poczekalnie z możliwością automatycznego zatwierdzania uczestników z danej domeny lub innej wybranej domeny
- Funkcja blokowania spotkań, która uniemożliwia wszystkim użytkownikom dołączenie do spotkania
- Możliwość usuwania uczestników
- Profile uwierzytelniania, które umożliwiają dostęp tylko zarejestrowanym użytkownikom lub ograniczają dostęp do wybranych domen poczty e-mail
- Narzędzie powiadamiające o zagrożonych spotkaniach może skanować wpisy w publicznych portalach społecznościowych i innych publicznych zasobach online w poszukiwaniu linków do spotkań Zoom Meetings

Selektywne zaproszenia na spotkania: prowadzący spotkanie może selektywnie zapraszać uczestników w wiadomościach e-mail, SMS lub wiadomościach natychmiastowych. Zapewnia to lepszą kontrolę nad dystrybucją informacji o dostępie do spotkania. Prowadzący może również utworzyć spotkanie, które zezwala na dołączanie uczestników tylko z wybranej domeny poczty e-mail.
Zabezpieczenia podczas spotkań: podczas spotkań Zoom bezpiecznie zapewnia bogate w media treści w czasie rzeczywistym każdemu uczestnikowi w Zoom Meetings. Wszystkie treści udostępnione uczestnikom na spotkaniu są jedyną reprezentacją oryginalnych danych. Te treści są szyfrowane i optymalizowane pod kątem udostępniania przy użyciu bezpiecznego wdrożenia.
Sterowanie przez prowadzącego: prowadzący spotkanie może włączać/wyłączać funkcje udostępniania zawartości, czatowania i zmiany nazwy uczestników spotkania.
Zgłaszanie: funkcja zgłoszenia użytkownika umożliwia prowadzącemu spotkanie flagowanie problematycznych zachowań.
Zabezpieczenia i kontrola w produkcie: sterowanie zabezpieczeniami w dedykowanej ikonie bezpieczeństwa w głównym interfejsie.
Zabezpieczenia użytkownika oparte na rolach: prowadzący spotkanie ma następujące możliwości związane z zabezpieczeniami, dostępne przed spotkaniem:

- Bezpieczne logowanie przy użyciu standardowej nazwy użytkownika i hasła lub logowanie jednokrotne SAML
- Uruchamianie bezpiecznych spotkań z hasłem
- Planowanie bezpiecznych spotkań z hasłem

Zapobieganie połączeniom zautomatyzowanym: użytkownicy mogą uniemożliwiać połączenia zautomatyzowane przy użyciu ograniczania przepustowości i technologii reCAPTCHA (wymagającej interwencji człowieka) na wszystkich platformach.

Opcje przetwarzania i przechowywania danych

Firma Zoom rozumie, że nasi klienci chcą mieć wybór dotyczący centrów danych, które przetwarzają i przechowują ich dane.

Przesyłane dane i przetwarzanie:Zoom kieruje przesyłane dane klientów przez swoją globalną sieć kolokowanych centrów danych i publicznych centrów danych w chmurze (w tym Amazon Web Services („AWS”)). Usługi Zoom są zaprojektowane tak, aby informacje wchodzące do ekosystemu firmy były kierowane przez centrum danych znajdujące się najbliżej użytkownika wysyłającego lub odbierającego dane.

Właściciele i administratorzy płatnych kont mogą, na poziomie konta, grupy lub użytkownika, włączyć lub wyłączyć określone centra danych Zoom, które będą wykorzystywane do przetwarzania wideo, audio i udostępnionych przez uczestników spotkań i webinarów treści w czasie rzeczywistym podczas prowadzenia spotkań i webinarów. Centra danych w kraju obsługującym region, w którym konto zostało udostępnione, zostaną zablokowane jako wybrana opcja przetwarzania. Wybór centrum danych Zoom ma zastosowanie tylko wtedy, gdy konto prowadzi spotkanie lub webinar. Gdy konto prowadzące spotkanie lub webinar zrezygnuje z jakiegokolwiek centrum danych, dane wideo, audio i udostępnione treści wszystkich uczestników spotkania i webinaru w czasie rzeczywistym będą przetwarzane wyłącznie przez wybrane centrum danych Zoom. Zoom może jednak kierować ruch między centrami danych przy użyciu standardowych protokołów routingu sieciowego podczas przechodzenia przez prywatne połączenia sieciowe Zoom (tj. routing brzegowy). Dodatkowe informacje można znaleźć w tym artykule pomocy.

Przechowywanie danych: klienci mogą wybrać lokalizację przechowywania danych dla części treści klienta. Treści klienta to informacje dostarczone przez klienta podczas korzystania z usługi Zoom, w tym wszystkie dane, które klient zdecyduje się nagrać lub udostępnić podczas spotkania albo webinaru, na przykład nagrania w chmurze, transkrypcje spotkań, transkrypcje czatu (podczas spotkania i stałe) oraz pliki wymieniane podczas spotkania lub na stałym kanale czatu.

Treści klienta są domyślnie przechowywane w Stanach Zjednoczonych. Klienci korzystający z płatnych kont mogą wybrać lokalizację przechowywania niektórych treści klienta dla swojego konta. Tylko właściciele lub administratorzy kont albo osoby z uprawnieniami do profilu konta klienta będą mogli zmienić to ustawienie. Dodatkowe informacje można znaleźć w tym artykule pomocy. Pamiętaj, że treści klienta, dane konta i dane diagnostyczne będą nadal przechowywane w Stanach Zjednoczonych.

Rygorystyczne protokoły dotyczące rządowych żądań dostępu do informacji

Firma Zoom jest zaangażowana w ochronę prywatności klientów i użytkowników. Przekazujemy dane użytkowników rządom tylko w odpowiedzi na zgodne z prawem, prawidłowe żądania zgodnie z naszym Przewodnikiem po wnioskach rządowych i odpowiednimi politykami prawnymi.

We wszystkich regionach geograficznych:

Żądania rządowe muszą być wydawane w ramach odpowiednich przepisów prawa i regulacji, przez oficjalne kanały, w tym żądania z podpisanymi oficjalnymi dokumentami lub żądania e-mail przesyłane z oficjalnych adresów e-mail jednostek rządowych.
Każde żądanie musi być jawne, niezbyt obszerne i musi mieć podstawę prawną. Odrzucimy lub zakwestionujemy żądania, które nie spełniają tych wymagań.
W oparciu o nasze zasady i zaangażowanie w promowanie udanej współpracy na całym świecie zastosujemy dodatkową kontrolę niektórych wniosków rządowych dotyczących dostępu do informacji o użytkownikach.

Jeśli żądanie jest zbyt niejasne, firma Zoom zakwestionuje jego prawidłowość, aby zminimalizować spektrum przesyłanych informacji.

Firma Zoom zazwyczaj powiadamia użytkowników o rządowych wnioskach dotyczących dostępu do informacji, załączając kopię otrzymanego żądania, chyba że prawo zakazuje nam powiadamiania użytkownika. Prośby o wyjątki od powiadomienia użytkownika muszą zawierać opis koniecznych okoliczności lub potencjalnego niekorzystnego rezultatu powiadomienia.

Zwiększona transparentność

Raporty dotyczące transparentności: firma Zoom opublikowała pierwszy raport dotyczący liczby wniosków otrzymanych od organizacji rządowych USA i międzynarodowych w grudniu 2020 r. (Raport dotyczący transparentności w zakresie wniosków rządowych). Chcemy, aby każdy kolejny raport dotyczący transparentności był lepszy od poprzedniego. Nasz najnowszy raport dotyczący transparentności jest dostępny tutaj. Dodatkowe raporty dotyczące transparentności będą udostępniane w Zoom Trust Center.
Powiadomienia w produktach: firma Zoom ciągle aktualizuje działania, aby integrować powiadomienia dotyczące prywatności specyficzne dla funkcji w środowisku użytkownika Zoom. Dzięki temu użytkownicy będą mogli lepiej zrozumieć (w danym kontekście) kto może zobaczyć i udostępniać ich zawartość i informacje, które udostępniają firmie Zoom. Przykładowo, jeśli użytkownik chce wiedzieć, kto może zobaczyć wiadomości wysyłane w funkcji czatu Zoom, może przejść do pozycji „Kto może zobaczyć Twoje wiadomości?”, aby sprawdzić, kto ma dostęp do wiadomości wysyłanych do wszystkich użytkowników oraz wiadomości prywatnych.

Firma Zoom projektuje swoje usługi w oparciu o wymagania rozporządzenia RODO.

Firma Zoom dokłada wszelkich wysiłków, aby tworzyć funkcje produktów zgodnie z wymaganiami RODO i wzmacniać ochronę danych osobowych przez nasze usługi. Aby uzyskać więcej informacji o praktykach dotyczących danych, przeczytaj Oświadczenie o prywatności. Możesz też wysłać wiadomość e-mail na adres privacy@zoom.us, jeśli masz jakiekolwiek pytania dotyczące rozporządzenia RODO.